Lo primero a considerar sobre la protección de datos es que Chile cuenta con legislación en la materia: la ley 19.628 sobre la protección de la vida privada regula las condiciones y requisitos que se deben cumplir para recolectar, procesar y tratar los datos personales de un individuo. Pablo Viollier, abogado de derechos digitales y docente Universidad Diego Portales, explica que por regla general solamente se pueden tratar los datos de una persona con su consentimiento y, al momento de recolectarse los datos, estos solo pueden ser utilizados para el objetivo para el cual fueron recolectados.

El 24 de marzo, tras ser aprobado por la Comisión de Constitución del Senado, la Comisión de Hacienda comenzó la revisión del proyecto sobre protección de datos personales. La nueva legislación permitirá a Chile cumplir con los compromisos tras ingresar a la OCDE en materia de protección de datos, instalando un nuevo reglamento que establece una completa regulación en materia de datos personales, sanciones económicas, la delegación al Consejo para la Transparencia de velar por la protección de la información y la creación de una agencia de protección de datos personales.

Si bien Chile fue pionero en la materia, siendo el primer país latinoamericano en regularizar el tema en 1999, actualmente no se ha formalizado el contenido legal, ya que próximas semanas debiese partir el segundo trámite constitucional, que da como resultado la promulgación de la norma. Macarena Gatica, abogada especialista en ciberseguridad, deja en claro que “los datos nos pertenecen y significan la garantía de una persona disponer de su información personal, uno ve con quién lo comparta. Cuando un país no tiene una regulación de protección de datos, esto se hace al margen de derechos que tiene una persona”.

En palabras simples, Voillier indica que cuando entre en vigencia el proyecto de ley, las empresas van a estar jurídicamente obligadas a responder y explicar en qué pueden ocupar la información de los usuarios. En el ámbito local, empresas del retail, isapres, bancos, centros educacionales, entre otras instituciones, poseen y manejan bases de datos y el nuevo cuerpo legal significará un cambio institucional frente a los datos compilados internamente.

Macarena Gatica agrega que parte de las obligaciones será el cómo tratar los datos a partir de la autorización de los titulares y evaluar la naturaleza de los mismos. Por ejemplo, en temas como la geolocalización, datos médicos, ingresos económicos, incluso datos biométricos como nuestro rostro, deben ser resguardados y quienes los guarden deben explicar el uso y forma de almacenamiento, dada la sensibilidad que significa exponer información a terceros.

En el pasado, casos internacionales como el de Cambridge Analytica con Facebook, ha puesto atención en las sanciones que se pueden tomar al descubrir estos casos. En Chile, la ley establece un procedimiento sumario denominado “Habeas Data” que se tramita ante los tribunales civiles, que puede acarrear multas por el incumplimiento del responsable de bases de datos y permite al afectado exigir indemnización de perjuicios por los daños patrimoniales y morales causados. Para Viollier, el gran problema transa en el sistema de control de carácter jurisdiccional, que se traduce en que una persona, si se da cuenta que sus datos se filtraron o que están siendo utilizados para un fin distinto, debe recurrir a tribunales, marcando una barrera de entrada para formalizar el caso y llegar a un veredicto. El proyecto en trámite aumenta el alza de multas que podrían llegar hasta las 5 mil UTM.

Macarena Gatica, abogada especialista en ciberseguridad, dice que los bancos e instituciones financieras han sido una de las industrias más reguladas en cuánto a protección de datos. Con puntos concretos, como el secreto y reserva bancaria, “han existido ciertas normas dictadas que han tendido a resguardar estos datos y exigir mayor seguridad de la información en la industria, al ser el sector más afectado con la filtración de tarjetas de crédito. Eso ha hecho que tengamos a un organismo reactivo”, explica.

La Comisión para el Mercado Financiero (CMF), tras la filtración de información de 41.593 tarjetas de crédito y débito en 2019, instaló una norma en la que, según la abogada, “cuentan 30 minutos desde que tienen conocimiento de una vulneración para informar a los afectados de organizaciones financieras, cuando involucran datos personales y también la industria. Se ve que hay una necesidad de proteger a la industria”.

En empresas de comunicaciones, el estudio más reciente de Derechos Digitales posicionó a Claro como la compañía que cuenta con mejor defensa en la privacidad de sus usuarios frente a los requerimientos de las autoridades.

Ambos profesionales afirmar que el mayor desafío es la creación de un organismo autónomo técnico e independiente con la facultad de imponer multas por la infracción de la ley, de generar campañas de concientización y fiscalizar el cumplimiento de la ley.

Viollier va mucho más allá y explica que “hay otras áreas del derecho que han constatado que existen asimetrías de poder e información”, indicando que debe existir un cambio de paradigma, ya que “no se le puede exigir a las personas que lea cada una de las condiciones de las aplicaciones y servicio que utiliza, primero porque son muchas, son largas, tienen lenguaje técnico, algunas están en inglés, está efectivamente el titular en condiciones de dar consentimiento libre e informado, yo creo que no mucho”.

En el caso de Gatica, la futura legislación debe tener en cuenta que la actual Constitución destaca la protección de datos como una garantía constitucional, por lo que la aproximación al fenómeno debe tener una perspectiva desde los derechos fundamentales, ya que son las personas quienes deben tener la capacidad de decidir quienes procesan sus datos, bajo qué circunstancias y con qué fines.